上海 ISO 27001 信息安全管理体系申请流程及要求全解

一、引言

二、ISO 27001 信息安全管理体系概述

三、申请流程

（一）准备阶段

1. 领导决策与支持
   企业高层领导需要充分认识到信息安全管理体系建设的重要性，明确 ISO 27001 认证目标，并在人力、物力、财力等方面给予支持。这包括成立专门的信息安全管理项目团队，指定项目经理，成员应涵盖信息部门、法务部门、人力资源部门等相关部门人员。
2. 现状评估
   对企业现有的信息安全管理状况进行全面评估。这包括对信息资产的识别和分类，如数据、软件、硬件、人员等。评估当前的信息安全风险，可采用风险评估工具和方法，识别潜在的威胁和脆弱点。同时，审查现有的信息安全控制措施，分析其有效性和不足。
3. 培训与意识提升
   组织员工参加 ISO 27001 相关培训。包括信息安全基础知识培训、标准条款解读培训等，使员工了解信息安全管理体系的要求和自身在其中的职责。同时，通过内部宣传、培训等方式提升员工的信息安全意识，如设置信息安全宣传栏、定期发送信息安全提示邮件等。

（二）体系建立阶段

1. 制定信息安全方针和策略
   根据企业的业务目标、信息资产特点和风险评估结果，制定符合 ISO 27001 标准要求的信息安全方针。方针应明确企业在信息安全方面的目标和承诺。在此基础上，制定具体的信息安全策略，如访问控制策略、数据加密策略、备份恢复策略等。
2. 规划信息安全管理体系架构
   依据 ISO 27001 标准的条款，结合企业实际情况，建立信息安全管理体系的文件架构。通常包括一级文件（信息安全管理手册）、二级文件（程序文件，如风险评估程序、内部审核程序等）、三级文件（作业指导书、操作规程等）以及四级文件（记录表格，如风险评估表、审核检查表等）。
3. 实施信息安全控制措施
   根据信息安全策略和体系架构，在企业内部实施一系列信息安全控制措施。例如，在人员管理方面，实施人员背景审查、信息安全职责分配等；在物理安全方面，加强机房安全防护、办公区域的访问控制等；在网络安全方面，部署防火墙、入侵检测系统、加密通信等技术措施。

（三）运行与改进阶段

1. 体系运行
   在企业内部全面运行信息安全管理体系，确保各项安全控制措施得到有效执行。这需要各部门和员工按照体系文件的要求开展工作，如按照规定的流程进行信息资产的访问、处理和存储。同时，对体系运行情况进行监控和记录，及时发现问题和偏差。
2. 内部审核
   定期开展内部审核，通常每年至少一次。内部审核由经过培训的内部审核员进行，按照预定的审核计划和审核检查表，对信息安全管理体系的各个要素进行审核。审核的目的是检查体系是否符合 ISO 27001 标准要求、是否得到有效实施和保持。对于审核中发现的不符合项，要及时采取纠正措施。
3. 管理评审
   企业高层领导定期组织管理评审会议，通常每年一次。管理评审要对信息安全管理体系的适宜性、充分性和有效性进行评价。根据内外部环境的变化、内部审核结果、客户反馈等信息，决定是否需要对信息安全方针、策略、体系文件等进行调整和改进。

（四）认证申请阶段

1. 选择认证机构
   在上海，有多家经认可的认证机构可供选择。企业应选择具有良好信誉、专业资质和丰富经验的认证机构。可以参考认证机构的历史业绩、客户评价、认证费用等因素。在选择后，与认证机构签订认证合同。
2. 提交申请材料
   向认证机构提交 ISO 27001 认证申请材料，通常包括企业营业执照副本复印件、信息安全管理体系手册、程序文件等体系文件、信息安全管理体系运行记录等。认证机构对申请材料进行初步审查，如符合要求，则受理申请。
3. 认证审核
   认证机构安排审核组对企业进行认证审核。审核包括第一阶段审核和第二阶段审核。第一阶段审核主要是对企业信息安全管理体系的文件审核和现场初步审查，确认企业是否具备进行第二阶段审核的条件。第二阶段审核是全面的现场审核，审核组依据 ISO 27001 标准，对企业的信息安全管理体系进行详细检查，包括对各个部门、各个环节的审核。审核过程中，企业需要积极配合审核组的工作。

（五）获得证书及后续维护阶段

1. 证书颁发
   如果认证审核结果符合 ISO 27001 标准要求，认证机构将向企业颁发 ISO 27001 信息安全管理体系认证证书。证书有效期通常为三年。
2. 证书维护与监督审核
   在证书有效期内，企业需要按照认证机构的要求进行证书维护。每年要接受认证机构的监督审核，以确保信息安全管理体系持续符合标准要求。同时，企业要及时向认证机构通报信息安全管理体系的重大变更情况，如组织结构调整、业务范围变化等。

四、申请要求

（一）基本条件

1. 合法经营
   企业必须在上海合法注册经营，具有有效的营业执照，且经营范围应与信息安全相关业务有一定关联，如涉及信息技术服务、数据处理等领域。
2. 信息安全管理基础
   企业应具备一定的信息安全管理基础，包括有基本的信息安全管理制度、人员配备和技术措施。例如，有信息安全负责人和相应的信息安全团队，有一定的网络安全防护设备等。

（二）文件要求

1. 完整性
   信息安全管理体系文件应完整涵盖 ISO 27001 标准的所有要求。从信息安全方针到具体的操作程序和记录表格，形成一个有机的整体。文件内容要明确、具体，具有可操作性。
2. 适宜性
   体系文件要适应企业的业务特点和规模。例如，对于金融企业和制造业企业，其信息安全风险和控制措施可能有所不同，文件应体现这种差异。同时，文件要随着企业内外部环境的变化及时更新。

（三）人员要求

1. 能力与培训
   企业员工应具备与其岗位相适应的信息安全能力。关键岗位人员，如信息安全管理人员、系统管理员等，应具备相应的专业知识和技能。所有员工都要接受信息安全培训，培训内容和频率要符合企业信息安全管理体系的要求。
2. 职责明确
   明确每个员工在信息安全管理体系中的职责。从高层领导到基层员工，每个人都要清楚自己在信息安全方面的工作内容和责任，如员工要知道如何保护自己使用的信息资产、如何报告信息安全事件等。

五、结语